Missing permission check in Jenkins Implied Labels Plugin allows reconfiguring the plugin

中 4.3CVE-2020-2282 · GHSA-5hw2-327v-vvr6 · 23/09/2020 公開 · 17/06/2026 更新

要点

CVE-2020-2282 は org.jenkins-ci.plugins:implied-labels, implied labels (jenkins) に影響する深刻度「中」 (CVSS 4.3) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.66%（全脆弱性の 51.6% より高い）。
対処：0.7 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
org.jenkins-ci.plugins:implied-labels Maven	`< 0.7`	`0.7`
implied labels jenkins	`≤ 0.6`	修正版なし

概要

Implied Labels Plugin 0.6 and earlier does not perform a permission check in an HTTP endpoint.

This allows attackers with Overall/Read permission to configure the plugin.

Implied Labels Plugin 0.7 requires Overall/Administer permission to configure the plugin.

NVD の説明

Jenkins Implied Labels Plugin 0.6 and earlier does not perform a permission check in an HTTP endpoint, allowing attackers with Overall/Read permission to configure the plugin.

参考情報

nvd.nist.gov/vuln/detail/CVE-2020-2282 · ADVISORY
jenkinsci/implied-labels-plugin commit 9a5d38f · WEB
jenkinsci/implied-labels-plugin · PACKAGE
jenkins.io/security/advisory/2020-09-23 · WEB
openwall.com/lists/oss-security/2020/09/23/1 · WEB

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

org.jenkins-ci.plugins:implied-labels

Maven

< 0.7

0.7

implied labels

jenkins

≤ 0.6

修正版なし

概要

Implied Labels Plugin 0.6 and earlier does not perform a permission check in an HTTP endpoint.

This allows attackers with Overall/Read permission to configure the plugin.

Implied Labels Plugin 0.7 requires Overall/Administer permission to configure the plugin.

NVD の説明

Jenkins Implied Labels Plugin 0.6 and earlier does not perform a permission check in an HTTP endpoint, allowing attackers with Overall/Read permission to configure the plugin.